Todas as leis estaduais de privacidade dos EUA, lado a lado.

estados recebem a pontuação mais exigente em opt-out universal.

Califórnia. As empresas devem respeitar sinais de preferência de opt-out, como o GPC; a AB 566 exige que os navegadores ofereçam um sinal de opt-out a partir de janeiro de 2027.

Escala: 0 não exigido, 1 voluntário ou futuro, 2 exigido (GPC), 3 exigido e com outros sinais ou obrigação para navegadores.

estados recebem a pontuação mais exigente em período de saneamento.

Califórnia. Sem direito de saneamento; a CPRA eliminou o antigo período de saneamento de 30 dias.

Montana. A SB 297 eliminou o período de saneamento garantido de 60 dias.

Rhode Island. Sem período de saneamento.

Escala: 0 período de saneamento permanente, 1 período de saneamento expirado ou discricionário, 2 limitado, 3 sem período de saneamento.

estados recebem a pontuação mais exigente em minimização de dados.

Maryland. A coleta deve se limitar ao que for razoavelmente necessário e proporcional para fornecer ou manter um produto ou serviço específico solicitado pelo consumidor.

Escala: 0 nada além do aviso, 1 adequada, pertinente e razoavelmente necessária às finalidades informadas, 2 razoavelmente necessária e proporcional, 3 estritamente necessária para fornecer o produto solicitado (estilo de Maryland).

estados recebem a pontuação mais exigente em crianças e adolescentes.

Colorado. Menores de 18 anos: dever de cuidado e consentimento obrigatório para anúncios direcionados, venda, perfilamento, recursos de engajamento e geolocalização precisa; consentimento dos pais para menores de 13 anos.

Montana. Menores de 18 anos: dever de cuidado, consentimento para anúncios, venda, perfilamento e recursos de engajamento, limites de geolocalização e avaliações relativas a menores.

Flórida. Criança significa menor de 18 anos; os dados de menores de 13 anos seguem a COPPA, e quem tem de 13 a 17 anos deve dar autorização afirmativa para o tratamento ou a venda de dados sensíveis.

Maryland. Dados de menores de 13 anos são sensíveis (COPPA). São restritos os anúncios direcionados a consumidores que o controlador sabia ou deveria saber que têm de 13 a 17 anos, bem como a venda dos dados desses consumidores.

Escala: o valor indica as idades. Nível 0 apenas COPPA (menores de 13), 1 consentimento dos pais para menores de 13 como dados sensíveis, 2 proteções adicionais para adolescentes (13 a 15 ou 16, opt-in para anúncios ou venda), 3 proteções para adolescentes até 17 ou um dever de código de design.

estados recebem a pontuação mais exigente em limites de aplicabilidade.

Nebraska. Sem limite numérico; qualquer empresa que trate ou venda dados pessoais, exceto as pequenas empresas segundo a SBA federal, que ainda precisam de consentimento para vender dados sensíveis.

Texas. Qualquer empresa no Texas que trate ou venda dados pessoais e não seja uma pequena empresa conforme definido pela SBA; as pequenas empresas ainda precisam de consentimento para vender dados sensíveis.

Connecticut. A partir de 1º de julho de 2026: 35,000+ consumidores, ou qualquer controlador que trate dados sensíveis ou ofereça dados pessoais para venda, independentemente do volume.

Escala: o valor indica os limites (número de consumidores, receita, participação da venda de dados). Nível 0 limites altos (100 mil+ consumidores e participação na receita), 1 padrão (100 mil, ou 25 mil mais 50%+ da receita proveniente de vendas), 2 limites mais baixos (por exemplo, 35 mil ou 50 mil, ou apenas um teste de receita), 3 sem limite ou limite muito baixo (por exemplo, qualquer empresa que não seja pequena empresa, ou teste SBA no estilo do Texas).

estados recebem a pontuação mais exigente em prazo de resposta.

Escala: valor em dias. Nível 2 para 45 dias (o padrão), 3 se for menor, 1 se for maior ou não definido.

estados recebem a pontuação mais exigente em ação privada.

Escala: 0 nenhuma, 1 limitada (por exemplo, por meio de uma lei de defesa do consumidor separada), 2 apenas para violações de dados, 3 direito privado de ação amplo.

estados recebem a pontuação mais exigente em regulamentação.

Califórnia. Regulamentos do CPPA em vigor, incluindo regras da 2025 sobre avaliações de risco, ADMT e auditorias de cibersegurança com vigência a partir de 1º de janeiro de 2026.

Colorado. Regras do AG em vigor (Colorado Privacy Act Rules, 4 CCR 904-3), incluindo especificações de opt-out universal.

Escala: 0 nenhuma, 1 limitada, 2 competência regulamentar da AG, 3 regras em vigor.